Secrets in Git-Repositories
API-Keys, Datenbank-Passwörter und Zertifikate landen in `.env`-Dateien oder Kubernetes-Manifests, die in Git eingecheckt sind. Jeder mit Repository-Zugriff hat alle Credentials.
HashiCorp Vault und Secrets Management für Kubernetes: Rotation und Zugriff automatisieren.
Wir richten Vault oder den External Secrets Operator ein: Secrets zentral verwaltet, rotiert und auditiert. Kein Secret mehr in Git oder im Kubernetes-Manifest.
- Secrets aus Git herausnehmen – zentralisiert und auditiert.
- Automatische Rotation: Datenbank-Credentials alle 24h neu.
- ArgoCD und Pipeline-Integration: keine Secrets mehr in YAML.
Was ihr nach dem Setup habt
Kein Secret mehr im Klartext. Vollständiger Audit-Trail. Rotation automatisiert.
- Vault produktionsbereit mit HA und Auto-Unseal
- Kubernetes-Integration via Vault Agent oder ESO
- Dynamische Credentials für Datenbanken und Cloud-APIs
Woran Secrets-Management in der Praxis scheitert
Die meisten Teams wissen, dass Secrets in Git ein Problem sind. Die wenigsten haben eine Lösung.
Manuelle Rotation
Secrets werden manuell rotiert – wenn überhaupt. In vielen Umgebungen laufen Credentials seit Jahren ohne Rotation. Das ist ein offenes Einfallstor.
Kein Zugriffs-Audit-Trail
Wer hat wann auf welches Secret zugegriffen? Unbekannt. Ohne vollständigen Zugriffs-Log ist jeder Sicherheitsvorfall schwer zu analysieren und einzugrenzen.
Vault & Secrets Management: strukturiert und produktionsreif
Die richtige Lösung für eure Komplexität – nicht das Maximum, sondern das Richtige.
HashiCorp Vault Setup
Produktionsreife Vault-Installation: HA-Setup, Auto-Unseal mit AWS KMS oder Azure Key Vault, TLS, Audit-Logging und Backup-Strategie.
- HA-Cluster mit Raft oder Consul Storage
- Auto-Unseal mit Cloud-KMS
- Kubernetes-Auth und AppRole für CI/CD
Kubernetes Integration
Vault Secrets in Kubernetes ohne Secrets im YAML: Vault Agent Injector oder External Secrets Operator – je nach Anforderung.
- Vault Agent Sidecar Injector
- External Secrets Operator (ESO)
- ArgoCD-Vault-Plugin Integration
Dynamische Credentials
Datenbank-Credentials, AWS-Keys und SSH-Zertifikate werden on-demand generiert und automatisch rotiert. Kein statisches Passwort mehr.
- Vault Database Secrets Engine
- AWS IAM Secrets Engine
- PKI Secrets Engine für TLS-Zertifikate
Fragen zu Vault & Secrets Management
- Warum reichen Kubernetes Secrets nicht aus?
- Kubernetes Secrets sind nur base64-kodiert – nicht verschlüsselt. Wer Zugriff auf etcd hat, liest alle Secrets im Klartext. Außerdem fehlen Rotation, Audit-Logging und feingranulare Zugriffskontrolle.
- Vault oder External Secrets Operator?
- Vault ist die vollständige Lösung mit Rotation, PKI und dynamischen Credentials. ESO ist ein leichtgewichtiger Sync-Layer für bestehende Stores wie AWS Secrets Manager. Wir empfehlen je nach Komplexität und Team-Kapazität.
- Kann Vault mit ArgoCD und Pipelines integriert werden?
- Ja. ArgoCD via argocd-vault-plugin oder External Secrets. CI/CD-Pipelines nutzen Vault-Token oder AppRole-Auth. Keine Secrets mehr in Git oder Environment-Variablen.
- Wie aufwändig ist ein Vault-Setup?
- Eine produktionsreife Installation mit HA, TLS und Kubernetes-Auth dauert 3–5 Tage. Inklusive Migration und Team-Enablement rechnen wir 5–10 Tage.
Secrets sauber verwalten?
Assessment anfragen – wir schauen uns euren aktuellen Secrets-Umgang an und zeigen den direkten Weg zu Vault oder ESO.